Аутентификация только через Microsoft Entra с Azure Synapse Analytics

Используя аутентификацию только Microsoft Entra, вы можете настроить Azure Synapse Analytics так, чтобы поддерживать только аутентификацию Microsoft Entra.

Примечание.

Субъекты-пользователи сервера Microsoft Entra в настоящее время доступны в предварительной версии для Azure Synapse Analytics.

Аутентификация только с помощью Microsoft Entra доступна для автономных выделенных SQL-пулов и рабочих пространств Azure Synapse. Для настройки рабочего пространства см. Отключить локальную аутентификацию. Выделенные SQL-пулы в рабочих пространствах Azure Synapse Analytics не используют логические SQL-серверы.

Когда вы включаете аутентификацию только для Microsoft Entra, вы отключаете SQL-аутентификацию, включая подключения от SQL-администраторов, логинов и пользователей. Подключаться могут только пользователи, использующие аутентификацию Microsoft Entra.

Для отдельного выделенного SQL-пула вы можете включить или отключить аутентификацию только через Microsoft Entra, используя портал Azure, Azure CLI, PowerShell или REST API. Вы также можете настроить его во время создания логического сервера с помощью шаблона Azure Resource Manager (ARM).

Дополнительные сведения см. в разделе "Проверка подлинности и авторизация".

Описание функции

Когда вы включаете аутентификацию только для Microsoft Entra, вы отключаете SQL-аутентификацию для рабочего пространства или логического сервера. Хотя аутентификация SQL отключена, учетные записи Microsoft Entra с соответствующими правами всё ещё могут создавать новые SQL-аутентификационные логины и пользователей. Новые аккаунты SQL-аутентификации не могут подключиться. Включение аутентификации только через Microsoft Entra не удаляет существующие учетные записи входа SQL и пользовательские учетные записи. Эта функция лишь предотвращает подключение этих аккаунтов к серверу и любой базе данных, созданной для этого сервера.

Permissions

Пользователи Microsoft Entra, являющиеся участниками высокопривилегированных встроенных ролей Microsoft Entra, таких как владельцы и участники подписки Azure, могут включать или отключать аутентификацию только через Microsoft Entra. Кроме того, роль SQL Security Manager может включать или отключать функцию аутентификации только с помощью Microsoft Entra.

Роль SQL Server Contributor не имеет разрешения на включение или отключение аутентификации только через Microsoft Entra. Это ограничение соответствует разделению обязанностей: пользователи, которые могут создать логический сервер или назначить администратора Microsoft Entra, не всегда могут включать или отключать функции безопасности.

Необходимые действия

Следующие действия добавляются в роль диспетчера безопасности SQL, чтобы разрешить управление функцией проверки подлинности только для Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read — требуется только для пользователей, получающих доступ к меню Microsoft Entra ID на портале Azure

Вы также можете добавить эти действия в пользовательскую роль для управления аутентификацией только через Microsoft Entra. Дополнительные сведения см. в статье Создание и назначение настраиваемой роли в Microsoft Entra ID.

Управление аутентификацией только через Microsoft Entra с помощью API

Important

Перед включением аутентификации только для Microsoft Entra необходимо настроить администратора Microsoft Entra.

Azure CLI

Необходима версия Azure CLI 2.14.2 или более поздняя.

name соответствует префиксу логического имени сервера (например, myserver) и resource-group соответствует группе ресурсов (например, myresource).

Отдельный выделенный SQL-пул

Дополнительные сведения см. в статье az sql server ad-only-auth.

Включение и отключение

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

Отключено

az sql server ad-only-auth disable --resource-group myresource --name myserver

Проверь статус

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Вам нужен модуль Az.SQL 2.10.0 или выше.

ServerName соответствует префиксу логического имени сервера (например, myserver) и ResourceGroupName соответствует группе ресурсов (например, myresource).

Отдельный выделенный SQL-пул

Включение и отключение

Enable

Дополнительные сведения см. в статье о команде Enable-AzSqlServerActiveDirectoryOnlyAuthentication. Кроме того, можно выполнить команду get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Вы также можете использовать следующую команду:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Отключено

Дополнительные сведения см. в разделе Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Проверь статус

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Вы также можете использовать следующую команду:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Определите следующие параметры:

• Найдите <subscriptionId>, перейдя в «Подписки» в портале Azure.
• <myserver> — префикс логического имени сервера.
• <myresource> — это ресурс.

Чтобы использовать последнюю версию MSAL, скачайте его с MSAL.PS коллекция PowerShell.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Отдельный выделенный SQL-пул

Дополнительные сведения см.в документации по REST API Проверка подлинности только на сервере Azure AD.

Включение и отключение

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Отключено

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Проверить статус

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

Шаблон ARM

• Введите администратора Microsoft Entra для развертывания. Найдите идентификатор объекта пользователя, перейдя на портал Azure и перейдя к своему ресурсу Microsoft Entra ID. В разделе Управление выберите Пользователи. Ищите пользователя, которого хотите назначить администратором логического сервера. Выберите пользователя и на странице профиля обратите внимание на идентификатор объекта.
• Найдите идентификатор арендатора на странице обзора вашего ресурса Microsoft Entra ID.

Отдельный выделенный SQL-пул

Enable

Следующий шаблон ARM включает аутентификацию только через Microsoft Entra на логическом сервере для отдельного выделенного SQL-пула. Чтобы отключить аутентификацию только через Microsoft Entra, задайте для свойства azureADOnlyAuthentication значение false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Дополнительные сведения см. на странице Microsoft.Sql servers/azureADOnlyAuthentications.

Проверка аутентификации только через Microsoft Entra с помощью T-SQL

Используйте функцию SERVERPROPERTY, IsExternalAuthenticationOnly чтобы проверить, включена ли аутентификация только Microsoft Entra для вашего логического сервера. 1 указывает, что функция включена, и 0 что она отключена.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Системная учетная запись администратора сервера

Когда вы создаёте логический сервер с включённой аутентификацией только Microsoft Entra, сервис генерирует имя администратора сервера и случайный пароль. Сгенерированное имя начинается с CloudSA , за которым следует случайная строка, и отображается в портале Azure как логин администратора сервера.

Аккаунт существует для того, чтобы удовлетворять провизию, а не предоставлять возможность подключения. Для обеспечения любого типа ресурса всё равно требуется значения администратора SQL-аутентификации. Аутентификация только Microsoft Entra меняет способы установления соединения после настройки, но это требование не устраняет, поэтому сервис генерирует необходимые значения для его выполнения.

Видение сгенерированного имени не означает, что аутентификация SQL включена. Когда включена аутентификация только через Microsoft Entra:

• Ни одна SQL-учетная запись аутентификации не может подключиться, включая системного администратора.
• Сгенерированная учётная запись — это не общая учётная запись, не резервный вариант и не сценарий аварийного доступа.
• Приложения и администраторы должны использовать аутентификацию Microsoft Entra для подключения.
• Администратор Microsoft Entra и другие авторизованные руководители Microsoft Entra остаются поддерживаемыми путями управления.
• Сервис навсегда удаляет пароль с управляющей плоскости после настройки.

Remarks

• Участник SQL Server может назначить или удалить администратора Microsoft Entra, но не может включить параметр «Только аутентификация Microsoft Entra». Диспетчер безопасности SQL не может назначать или удалять администратора Microsoft Entra, но может задавать параметр "Только аутентификация Microsoft Entra". Только учетные записи с ролями Azure RBAC более высокого уровня или настраиваемыми ролями, содержащими оба разрешения, могут назначать или удалять администратора Microsoft Entra и задавать параметр Только проверка подлинности Microsoft Entra. Одной из таких ролей является роль Участник.
• После включения или отключения только аутентификации Microsoft Entra в портале Azure появляется запись в журнале активности.
• Параметр только проверка подлинности Microsoft Entra могут включать или отключать только пользователи с соответствующими разрешениями, если указан администратор Microsoft Entra. Если администратор Microsoft Entra не задан, параметр только проверка подлинности Microsoft Entra остается неактивным и не может быть включен или отключен. Использование API для включения проверки подлинности только для Microsoft Entra также завершится ошибкой, если администратор Microsoft Entra не установлен.
• Изменение администратора Microsoft Entra, если включена проверка подлинности только для Microsoft Entra, поддерживается для пользователей с соответствующими разрешениями.
• Изменение администратора Microsoft Entra, а также включение или отключение аутентификации только через Microsoft Entra допускается в портале Azure для пользователей с соответствующими разрешениями. Обе операции можно завершить, выполнив одно сохранение на портале Azure. Чтобы включить аутентификацию только через Microsoft Entra, необходимо задать администратора Microsoft Entra.
• Удаление администратора Microsoft Entra, если включена функция проверки подлинности только для Microsoft Entra, не поддерживается. Использование API для удаления администратора Microsoft Entra завершится ошибкой, если включена проверка подлинности только для Microsoft Entra.
  • Если включен параметр Только проверка подлинности Microsoft Entra, кнопка «Удалить администратора» неактивна в портале Azure.
• Удаление администратора Microsoft Entra и отключение только параметра проверки подлинности Microsoft Entra разрешено, но требует правого разрешения пользователя для выполнения операций. Обе операции можно завершить, выполнив одно сохранение на портале Azure.
• Пользователи Microsoft Entra с соответствующими разрешениями могут олицетворить существующих пользователей SQL.
  • Олицетворение продолжает работать между пользователями SQL-аутентификации даже при активной аутентификации только Microsoft Entra.

Связанные материалы

• Используйте аутентификацию Microsoft Entra с Synapse SQL
• Аутентификация Microsoft Entra для Azure Synapse Analytics